2023年3月，平台一个叫“星海”的漏洞年轻人在GitHub上公开了一份漏洞报告，他通过某电商平台的赚钱优惠券系统，在24小时内“合法”刷出了价值47万元的平台实物商品。平台最后没报警，漏洞而是赚钱给他打了通电话，请他入职安全部门，平台年薪60万。漏洞这不是赚钱段子。漏洞赚钱这个灰色地带，平台早就长出了一条清晰的漏洞产业链，只是赚钱大多数人只看到“薅羊毛”的皮毛。

真正的平台漏洞猎人分两类。一类是漏洞“白帽”，他们睡在凌晨三点的赚钱代码里，盯着支付接口、权限校验、逻辑覆盖这些硬骨头。一个越权漏洞在黑市能卖到3到8万，如果涉及金融系统，报价直接翻番。另一类更野，他们不碰代码，专盯规则漏洞——比如某外卖平台的“新客立减15元”活动，有人用虚拟号生成器批量注册，配合改定位软件，一天薅出三千多份免费午餐，转手卖给学校附近的快餐店，净赚两千。这类人叫“羊毛党”，他们不觉得自己在犯罪，管这叫“平台送的福利”。

但真正赚钱的，既不是白帽也不是羊毛党，而是那批“中间商”。他们在Telegram上开频道，卖漏洞利用工具，卖批量注册的账号池，甚至卖“风控绕过教程”。一套针对某社交平台的“养号+引流+变现”全流程方案，标价1.2万，购买者络绎不绝。有个做中间商的朋友跟我透露，他一个月流水能有三十多万，风险却比直接操作的人低得多——因为法律追责时，他只需要说“我只是卖软件，不知道买家拿去干嘛”。这话听着气人，但现实中还真难定他的罪。

平台方也不是傻子。大厂基本都建了SRC（安全响应中心），单个高危漏洞奖励从几千到十万不等。但漏洞提交的审核周期长达两个月，很多白帽等不起，转头就把漏洞挂在暗网上卖给黑产——那边当场打款，价格还高30%到50%。我认识一个测试工程师，白天在银行上班，晚上专门挖第三方支付插件漏洞，他跟我说：“正规平台要你写报告、等评估、还要签保密协议，麻烦得很。暗网上买家不问出处，只要验证截图，马上USDT到账。”他去年靠这个副业赚了七十多万，至今没出过事。

别以为这些离普通人很远。上个月，某视频平台推出“邀请新用户得现金红包”活动，有人发现用剪贴板篡改链接参数，可以把老用户伪装成新用户，一台手机反复操作，单日提现封顶后换账号继续。这事儿被曝光后，平台紧急修复，但已经被人薅走了两千多万。你说平台亏不亏？亏。但那些动手的人，大部分只是大学生，他们觉得“这是平台自己设计的漏洞，我不过是利用规则”。可法律不这么看——2022年，河南某高校学生利用某支付平台的“退款不退货”漏洞，骗取退款12万，判了三年。

平台漏洞赚钱这事儿，本质是技术能力与法律意识之间的落差游戏。有些人靠它实现了财富自由，有些人靠它进了监狱，中间那条线，不是技术高低，而是分寸感。你问我该不该碰？我的看法是，如果你真懂技术，去正规SRC提交漏洞，赚的是干净钱，还能积累行业口碑。如果你想靠“薅羊毛”发家，我劝你算算时间成本——那些真正赚到大钱的羊毛党，没一个靠的是手动操作，全是用脚本批量跑，而写脚本的能力，足够你找到一份月薪两万的安全工作了。说到底，漏洞是平台的钱，也是你的能力证明，但怎么变现，决定了你是人才还是罪犯。